Audyt NIS2 / KSC 2.0 i wdrożenie zgodności

Dotyczy głównie średnich i dużych organizacji (50 lub więcej pracowników albo roczny obrót i suma bilansowa powyżej 10 mln EUR) działających w jednym z 18 sektorów wymienionych w dyrektywie — np. energetyce, transporcie, bankowości, ochronie zdrowia, infrastrukturze cyfrowej, zarządzaniu usługami ICT, produkcji czy branży spożywczej. Niektóre podmioty, np. dostawcy DNS i usług zaufania, są objęte niezależnie od wielkości. Każdą współpracę zaczynamy od sprawdzenia Twojej klasyfikacji.

Oba muszą spełniać te same obowiązki w zakresie zarządzania ryzykiem i raportowania. Różnica dotyczy nadzoru i kar: podmioty kluczowe podlegają nadzorowi uprzedniemu i karom do 10 mln EUR lub 2% globalnego obrotu, a podmioty ważne — nadzorowi następczemu i karom do 7 mln EUR lub 1,4% obrotu.

W przypadku poważnego incydentu: wczesne ostrzeżenie w ciągu 24 godzin od jego wykrycia, zgłoszenie incydentu ze wstępną oceną w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Dotrzymanie tych terminów wymaga monitoringu i przećwiczonej procedury — dlatego wielu klientów łączy NIS2 z naszym SOC 24/7.

Tak. Zgodnie z NIS2 organy zarządzające zatwierdzają środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorują ich wdrażanie i mogą ponosić odpowiedzialność za zaniedbania. Członkowie zarządu muszą też uczestniczyć w szkoleniach z cyberbezpieczeństwa.

KSC 2.0 to nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2 do polskiego prawa. Określa, które podmioty są objęte przepisami, zasady ich rejestracji, obowiązki i kary egzekwowane przez polskie organy.

Nie jako takie. W obszarze cyfrowym NIS2 obejmuje internetowe platformy handlowe, wyszukiwarki i platformy społecznościowe, a także dostawców chmury, centrów danych i zarządzanych usług IT. Zwykły sklep internetowy jest zwykle objęty tylko wtedy, gdy należy do innego sektora, np. dystrybucji żywności lub produkcji, i spełnia próg wielkości.

Klasyfikację Twojej organizacji, ocenę dojrzałości wobec 10 środków z art. 21, raport luk z priorytetami i plan wdrożenia — zwykle na najbliższe 90 dni — a jeśli kontynuujesz z nami współpracę, także dokumentację i dowody dla organu nadzoru.

Podmioty finansowe objęte DORA stosują DORA jako przepisy szczególne w zakresie ryzyka ICT. NIS2 nie wymaga ISO 27001, ale istniejący ISMS pokrywa dużą część jej środków i znacznie ułatwia osiągnięcie zgodności — uwzględniamy go w analizie luk.

Tak. Wdrażamy brakujące środki, wykonujemy testy penetracyjne i skanowanie podatności, zapewniamy vCISO do bieżącego kierowania bezpieczeństwem oraz okresowo powtarzamy audyty.